基于SSL的HTTPS协议

Http协议是常用的传输层协议，但有些时候我们需要更加安全的http协议，即Https协议。Https协议与Http协议的区别在于：Https协议在Http与传输层之间添加了一个用于加密的SSL（安全套接层）。

首先来分析下，一个信息想在网络中安全的传输，需要能够做到一下几点：
1. 防偷听（你在购物网站上填写你的银行卡密码，肯定不希望这个密码北其他人知道）
2. 防篡改（你在付款时，想某东转账100RMB，该信息在传输过程中被改为转账10000RMB，你会疯的）
3. 防冒充（你得知道，和你通信的服务器到底是不是某东的服务器，万一是个钓鱼网站呢）

SSL就是一个能够保证上面几点的密码框架，这个框架使用了一些常用的安全算法来保证防偷听，防篡改以及防冒充。我们来具体看下:
1. 防偷听：使用对称加密算法对需要发送的信息进行加密[color=red]（当然也可以使用非对称加密，但非对称加密的性能没有对称加密的性能好）[/color]，一旦使用对称加密，就涉及到密钥的共享问题[color=red]（可以通过使用公钥对共享密钥加密来解决）[/color]。
2. 仿篡改：在发送消息的时候，生成一个MAC，和消息接收端进行认证即可。
3. 防冒充：在通信的时候要求服务器发送一个加了自己签名的公钥。
[color=red]上面的三点分别对应对称加密，消息认证码，数字签名。[/color]

有了上面的基础，我们来看https的通信过程。
1. Client端发送请求，表示想要和Server端建立SSL连接。
2. Server端返回给客户端一个证书信息（其中包含Server端的公钥A）。
3. Client端生成一个对称加密用的密钥B，并用公钥A对密钥B进行加密
4. Server端利用与A对应的私钥解密出密钥B
5. Client端将信息用密钥B加密后发送给Server

如下图：
[img]http://dl2.iteye.com/upload/attachment/0118/1539/007de14b-1d55-34b7-b45b-08441bc7204a.png[/img]